攻撃の解剖：CBC株式会社へのサイバー攻撃と日本の化学産業への影響に関する戦略的分析

Executive Summary

インシデント概要： 2025年9月3日、日本の大手化学系商社メーカーであるCBC株式会社は、大規模なサイバー攻撃を受け、同社の日本拠点における全社規模のシステム障害に発展しました。同社は、この障害が外部の第三者によるサーバー侵害に起因することを確認し、被害拡大を阻止するためにネットワークの遮断という緊急措置を講じました 1。

対象企業の明確化： 本レポートは、非上場の化学専門商社であるCBC株式会社（cbc.co.jp）にのみ焦点を当てています。上場企業である中部日本放送株式会社（hicbc.com、証券コード9402）とは、名称が類似しているものの全く別の組織です。したがって、中部日本放送に関連する情報（株価、同社独自のセキュリティインシデント等）は本分析の対象外としています 3。

主要な分析結果： CBC株式会社への攻撃は単独の事案ではなく、日本の高価値な化学産業を標的とする、高度な攻撃者による体系的かつ激化する脅威の一端を示すものです。過去の類似事案を分析すると、知的財産や事業継続性を狙った攻撃パターンが明確に浮かび上がります。特に、商社機能とメーカー機能を併せ持つグローバル企業でありながら非上場を貫くCBC株式会社の独自の事業形態は、複雑な攻撃対象領域（アタックサーフェス）を生み出し、そのビジネスモデルに内在する潜在的な脆弱性を露呈させています。

戦略的インプリケーション： 本インシデントは、化学産業全体が従来の基本的なサイバーセキュリティ対策から脱却し、脅威インテリジェンス主導のプロアクティブな防衛体制へと移行する必要性を浮き彫りにしました。業界内の相互接続性が高いことを考慮すると、一社への侵害がサプライチェーン全体に波及する重大なリスクをもたらすことは明白です。

第1章 CBC株式会社における侵害：戦術的分析

本章では、インシデントを時系列で分解し、何が、いつ発生し、企業がどのように対応したかという事実に基づいた全体像を構築します。

1.1 インシデントの時系列

2025年9月初旬に発生した一連の事象は、迅速な検知と対応の重要性を示しています。

2025年9月3日： CBC株式会社は、同社の日本地域において「全社規模でのシステム障害」が発生したことを確認しました 1。同日発表された最初の公式声明では、障害の発生を認め、原因は調査中であり復旧には時間を要する見込みであると説明されました 6。
2025年9月3日（同時進行）： 社内調査により、このシステム障害が同日発生した外部第三者によるサーバー侵害に起因するものであることが判明しました 1。これを受け、同社は被害の拡大を防ぐため「ネットワークを遮断」するという決定的な措置を講じました 1。
2025年9月5日： CBC株式会社は2回目の公式発表を行い、外部第三者による「不正アクセス」があったことを正式に認め、謝罪しました 6。この発表では、原因、侵入経路、被害範囲の特定に向けた調査が進行中であることが明らかにされました。
2025年9月5日以降： 同社は「一部の業務に影響が発生」しており、復旧作業を継続しているものの、完全な復旧にはさらに時間が必要であるとの見通しを示しました 1。

表1：CBC株式会社サイバーインシデントの時系列


日付 (日本時間)	イベント	企業の対応・広報
2025年9月3日	日本地域における全社規模のシステム障害を検知 1。	システム障害発生に関する第一報を公表。原因は調査中と言及 6。
2025年9月3日	内部調査により、外部からのサーバー侵害を確認 1。	被害拡大防止のため、社内ネットワークを即時遮断 1。
2025年9月5日	不正アクセスに関する詳細情報を公表。	サーバーへの不正アクセスを正式に認め、謝罪。調査と復旧が進行中であることを報告 6。
2025年9月5日以降	業務への一部影響が継続。	復旧には時間を要する見込みであり、完了次第改めて報告する旨を発表 6。

1.2 影響評価と事業運営への支障

攻撃による被害は、同社の日本国内事業に集中していました。

範囲： 障害は「全社規模」とされましたが、地理的には「日本地域」に限定されていました 1。グローバルにネットワーク化された企業にとって、この地理的限定は重要な情報ですが、その影響は国内にとどまらない可能性があります。
影響の性質： 主な影響は「システム障害」であり、これにより「一部の業務」に支障が生じました 1。影響を受けた具体的な業務システム（例：基幹システム(ERP)、生産管理、物流、電子メール）については公表されておらず、これは現時点での重大な未知数です。
情報漏洩の可能性： 報道時点では、データの窃取や漏洩に関する明確な言及はありませんでした。しかし、調査は「被害範囲」の全容解明に向けて継続中であり 1、他の業界事例を鑑みても、情報漏洩の可能性は否定できません。

1.3 インシデント対応と危機管理広報

同社の初動対応は、標準的なインシデント対応手順に沿ったものでした。

即時の技術的対応： ネットワークの即時遮断という判断は、攻撃者のラテラルムーブメント（横展開）を防ぎ、さらなる被害を食い止めるための標準的かつ不可欠な封じ込め策でした 1。
調査： 同社は速やかに「原因や侵入経路、被害範囲」を特定するための調査を開始しており、これは社内外のフォレンジック専門家が関与していることを示唆しています 1。
広報戦略： CBC株式会社の広報は2段階で構成されていました。9月3日に「システム障害」として第一報を出し、その2日後の9月5日に「サイバー攻撃」が原因であると公表しました 6。障害の認知から原因の特定・公表までに2日間のタイムラグがあったことは、同社の広報戦略における注目すべき点です。

この2日間の遅延は、重要な内部プロセスを反映していると考えられます。同社は、憶測に基づく発表を避け、初期のフォレンジック調査によって外部からの侵害という確証を得た上で、原因を公表する判断を下した可能性が高いです。これは慎重かつ証拠に基づいた広報戦略と言えますが、同時に、ステークホルダーにとっては48時間にわたる不確実な期間を生み出しました。危機管理広報における「迅速性」と「正確性」の間の緊張関係がここに表れています。

さらに、攻撃が「日本地域」に集中していたという事実は、戦略的に重要です。CBC株式会社のようなグローバル企業において、これは攻撃者が特定の目的を持っていた可能性を示唆します。ランダムな攻撃ではなく、本社機能が持つ経営情報、日本の研究開発データ、あるいは国内サプライチェーンの中核をなす管理システムなどを意図的に狙った、標的型の侵入であった可能性が考えられます。攻撃者は、同社のグローバルネットワークの中から、最も価値が高いと判断した日本のITインフラを標的として選択したと推察されます。

第2章ターゲットプロファイル：CBC株式会社に内在するリスクと価値

本章では、CBC株式会社の特異な企業構造と市場での立ち位置を分析し、なぜ同社が標的とされたのか、そしてどのような脆弱性を抱えていた可能性があるのかを考察します。

2.1 「創造商社」モデル：複雑な攻撃対象領域

CBC株式会社は、単純な商社やメーカーではありません。「商社機能とマニュファクチャリング機能」を融合させた「創造商社」という独自のビジネスモデルを標榜しています 10。これは、同社のIT/OT（Operational Technology）環境が、グローバルな物流、研究開発、生産、販売システムを統合した、極めて複雑なものであることを意味します。

多様な事業ポートフォリオ： 同社は、化学品、合成樹脂、医薬品、農薬、電子材料、産業光学、食品といった価値の高い複数の分野で事業を展開しています 1。この多様なポートフォリオは、化学式、医薬中間体、光学設計といった幅広い分野の貴重な知的財産を保有していることを意味し、攻撃者にとって魅力的な標的となります。
グローバルネットワーク： 世界45拠点以上に広がるネットワークは、同社の強みであると同時に、広大で相互に接続された攻撃対象領域を形成しています 11。セキュリティ対策が比較的脆弱な海外拠点が侵害された場合、そこが日本の中核ネットワークへの侵入口となる可能性があります。

2.2 非上場の優良企業というパラドックス：公的監視外での成功

CBC株式会社は、特筆すべき成功を収めている非公開企業です。「創業以来100年連続黒字経営」を誇り、1,480億円の純資産を有する、自らを「無名の超優良企業」と称する存在です 14。

「あえて非上場」という戦略： 同社は、非上場であることが株主からの短期的な圧力に左右されず、長期的な視点と迅速な意思決定を可能にする戦略的な選択（「あえて非上場」）であると明言しています 12。
ガバナンスへの影響： この戦略は事業の機動性を高める一方で、上場企業に課されるようなリスク管理、ガバナンス、サイバーセキュリティ投資に関する厳格な情報開示義務を免除されることを意味します。

2.3 標的とされてきた歴史：前駆的なソーシャルエンジニアリング攻撃

サーバー侵害が発生する数ヶ月前の2024年12月、CBC株式会社は「なりすましメール」に関する注意喚起を公表していました 16。

攻撃の高度化： これは単純なスパムメールではなく、取引先や第三者になりすまし、金銭や情報を詐取しようとするビジネスメール詐欺（BEC）のレベルに達していました。攻撃はエスカレートし、CBC社員になりすました攻撃者が「ウェブでの面談」を実施する事態にまで発展しました 16。この攻撃では、「Janet Yoshida」という偽名が使用されたことも報告されています 17。
ドメイン偽装： 攻撃の巧妙さから、CBC株式会社は自社の正規のメールドメイン（@cbc.co.jp）を公に示し、注意を促す必要に迫られました 16。

2024年に観測された高度なビジネスメール詐欺（BEC）やなりすましキャンペーンは、2025年9月のサーバー侵害に向けた準備段階、すなわち偵察や初期侵入のフェーズであった可能性が極めて高いと考えられます。これは、攻撃者が用いる典型的な戦術です。まず、ソーシャルエンジニアリングによって組織の「人的な防御壁」を狙い、組織図、プロジェクト名、取引先担当者といった内部情報を収集したり、偽のメールに埋め込んだリンクから認証情報を窃取したりします。攻撃者がウェブ面談を成功させたという事実は、彼らが高度な準備と自信を持っていたことを示しています。この初期段階で得られた情報や認証情報が、9ヶ月後のサーバー環境への侵入を成功させるための鍵となった可能性があります。したがって、これら二つのインシデントは無関係ではなく、サーバー侵害は、長期間にわたる周到な多段階攻撃の最終局面であったと分析するのが妥当です。

さらに、CBC株式会社が掲げる「あえて非上場」という経営戦略は、事業上の強みであると同時に、サイバーセキュリティにおける「ガバナンスの死角」を生み出していた可能性があります。上場企業は、投資家や規制当局からサイバーリスクの開示と管理について常に厳しい監視の目に晒されています。これにより、経営層レベルでの対策が必然的に求められます。一方、非上場企業は、たとえ優良企業であっても、このような外部からの圧力が相対的に弱く、研究開発や事業拡大といった直接的な利益を生む分野への投資を、利益を生まない「コストセンター」と見なされがちなサイバーセキュリティよりも優先する傾向があり得ます。攻撃者は偵察段階で、多様な知的財産と潤沢な資金を持つ魅力的なターゲットが、その非上場というステータスゆえに、想定よりも防御が手薄である可能性を見抜いていたかもしれません。つまり、CBC株式会社を事業的に成功に導いた戦略そのものが、意図せずして同社のサイバーリスクを高める要因となっていた可能性があるのです。

第3章 حصار下のセクター：日本の化学産業へのサイバー脅威

本章では、CBC株式会社への攻撃を、日本の化学セクター全体で発生している類似のインシデントという広い文脈の中に位置づけ、明確で危険な傾向を明らかにします。

3.1 業界における近年の攻撃事例の比較分析

以下の比較分析は、提供された情報源に基づくものであり、CBC株式会社の事案が孤立したものではないことを示しています。

三菱ケミカルグループ（2024年8月）： ランサムウェアグループ「Everest」の標的となりました。攻撃者は、「図面、契約書、社内事件」を含む6テラバイトに及ぶ機密性の高いデータを窃取し、300万ドルで販売すると公表しました 18。これは、金銭目的の恐喝と産業スパイ活動が融合した典型的な事例です。
株式会社ダイセル（2021年12月）： 外部からのサイバー攻撃を受け、顧客や取引先の情報を含むデータが流出した可能性があると発表しました 20。この事案は、情報漏洩のリスクに焦点が当てられました。
株式会社日本触媒（2025年5月）： サーバーへのサイバー攻撃を確認したものの、公表時点では生産や販売への影響はないと報告しました。被害の全容は調査中とされました 21。これは、ITシステムへの攻撃がOT（生産制御）システムに波及する前に封じ込められた可能性を示唆しています。
日本ゼオン株式会社（2023年8月）： アカウント管理システムが侵害され、氏名、電話番号、会社名などを含む顧客および取引先の情報13,434件が漏洩した可能性があると発表しました 22。これは、サプライチェーンリスクを顕在化させる典型的なインシデントです。

表2：日本の化学産業における近年のサイバー攻撃の比較


企業名	攻撃時期	攻撃の種類（推定）	攻撃者（公表分）	主な影響
CBC株式会社	2025年9月	不正アクセス	不明	日本拠点における全社的システム障害、業務への支障 1。
三菱ケミカルグループ	2024年8月	ランサムウェア、データ窃取	Everest	6TBの機密データ（図面、契約書等）窃取と販売の脅迫 18。
株式会社ダイセル	2021年12月	不正アクセス	不明	顧客・取引先情報を含むデータ漏洩の可能性 20。
株式会社日本触媒	2025年5月	サイバー攻撃	不明	サーバーへの侵害。生産・販売への直接的影響は限定的と報告 21。
日本ゼオン株式会社	2023年8月	不正アクセス	不明	顧客・取引先情報13,434件の漏洩の可能性 22。

この比較表は、本レポートにおける最も重要な分析ツールの一つです。CBC株式会社への攻撃が特異な事案ではなく、業界全体を標的とした広範かつ継続的なキャンペーンの一部であることを視覚的に示しています。経営層は、この表を通じて攻撃者の戦術、標的、影響のパターンを認識し、業界横断的な防衛戦略の必要性を理解することができます。ある企業が単独で攻撃されたと見なすのではなく、競合他社が短期間に同様の攻撃を受けている事実を突きつけられることで、脅威が体系的かつ喫緊の課題であることが明らかになります。これにより、議論の焦点は「なぜCBCが失敗したのか」から「業界全体をどう守るか」へと移行するはずです。

3.2 攻撃者の動機：産業スパイから恐喝まで

知的財産の窃取： 化学産業の価値の源泉は、独自の化学式、製造プロセス、研究開発データにあります。三菱ケミカルの事例で窃取されたと主張されている「図面」や開発関連データは、産業スパイ活動が主目的であったことを明確に示しています 18。
サプライチェーンの混乱： 他の産業（例：自動車産業）で見られるように、生産を停止させる攻撃は、世界的なサプライチェーンに連鎖的な影響を及ぼす可能性があります 23。CBC株式会社における生産への具体的な影響は不明ですが、「全社規模」のシステム障害は、事業を著しく混乱させる能力を攻撃者が有していたことを示唆しています。
二重の恐喝： 現代の攻撃は、データを暗号化して身代金を要求するランサムウェア攻撃と、窃取したデータを公開すると脅迫する手法（二重恐喝）を組み合わせることが一般的です。「Everest」グループが三菱ケミカルのデータを公に販売しようとした行為は、この戦術の典型例です 18。

日本の化学産業を標的とする攻撃者は、価値がどこに存在するのかを高度に理解していることがうかがえます。彼らは単に汎用的なランサムウェアをばらまくのではなく、企業の最も機微なデータ（知的財産、契約書、顧客リスト）を選択的に窃取した上で、破壊活動に移っています。三菱ケミカルから6テラバイトものデータが盗まれたとされる事実は、攻撃者がネットワーク内部に長期間潜伏し、価値の高いデータストアを特定し、大量のデータを外部に転送してから最終的な攻撃を仕掛けるという、周到な準備を行っていたことを示唆しています。これらは衝動的な破壊活動ではなく、諜報活動に近い、忍耐強く情報主導で行われる作戦です。

短期間に同じ業界の主要企業が複数、同様の手口で侵害されているという事実は、偶然とは考えにくく、「セクター全体の脆弱性」が存在する可能性を示唆しています。これらの企業は、類似のサプライチェーン、技術スタック（特定の産業用制御システムやERPソフトウェアなど）、業務プロセスを共有している可能性があります。一社に対して有効であった脆弱性や攻撃手法は、他の企業にも通用する可能性が高く、攻撃者は業界内で横展開するように攻撃を広げているのかもしれません。これは、各企業がインシデントを個別の問題として処理するのではなく、業界全体で脅威情報を共有し、共同で防衛策を講じる必要性を示しています。業界固有のISAC（情報共有分析センター）のような組織の設立は、もはや任意ではなく、不可欠な集団的防衛メカニズムと言えるでしょう。

第4章戦略的展望とプロアクティブな防衛の必要性

最終章では、これまでの分析結果を統合し、CBC株式会社および化学産業全体に向けた将来を見据えた分析と、実行可能な提言を提示します。

4.1 連鎖的影響：サプライチェーンとサードパーティリスク

グローバルなサプライヤーおよび顧客ネットワークを持つCBC株式会社への侵害は、重大なサードパーティリスクを生み出します。CBCのネットワークに接続していたパートナー企業が攻撃に晒された可能性があり、また、同社の事業運営の混乱は、同社が供給する化学製品、医薬品、電子部品に依存する下流のサプライチェーンに影響を及ぼす可能性があります。顧客・取引先データが直接影響を受けた日本ゼオンの事例は、このリスクがいかに現実的であるかを明確に示しています 22。

4.2 化学セクターにおけるレジリエンス構築の青写真

侵害前提のアプローチ（Assume Compromise）： 成功した攻撃が多発している現状は、侵入を100%防ぐ「予防」だけでは不十分であることを示しています。企業は「侵害は起こり得るもの」という前提に立ち、侵入後の「検知」と「対応」の能力（例：EDR、SOC、インシデント対応リテイナー契約）に重点的に投資する必要があります 24。
ソーシャルエンジニアリングへの対抗： CBCの事例が示すように、攻撃の起点は高度なソーシャルエンジニアリングであった可能性が高いです。ビジネスメール詐欺や巧妙ななりすましを見抜くことに特化した、セキュリティ意識向上トレーニングの強化が不可欠です 16。
サプライチェーンのセキュリティ監査： パートナー企業を単に「信頼」する段階は終わりました。今後は、契約上のセキュリティ要件の明記や、重要なサプライヤーに対するセキュリティ監査を通じて、その対策レベルを「検証」する必要があります。
インテリジェンス主導の防衛： 攻撃を待つのではなく、脅威をプロアクティブに探索すべきです。これには、三菱ケミカルの事例のように、ダークウェブ上で自社に関する情報が取引されていないかを監視したり、化学産業や「Everest」のような攻撃グループの戦術に特化した脅威インテリジェンスを購読したりすることが含まれます。

4.3 総括

CBC株式会社へのサイバー攻撃は、一つの転換点となる事案です。この攻撃は、ソーシャルエンジニアリングから始まる可能性のある忍耐強い多段階の侵入、価値の高い非上場企業という標的、そして深刻な事業運営の混乱という、現代の脅威が持つあらゆる要素を内包しています。これは、日本の化学産業が、高度な技術と断固たる意志を持つ攻撃者の標的となっていることを示す、最終警告と言えます。この脅威に対する応答は、個別的・事後的なものであってはならず、協調的・事前的、かつ経営トップの主導で行われる必要があります。この重要な産業セクターの未来の安全は、「無名の超優良企業」への攻撃から得られる教訓をいかに活かすかにかかっているのです。

引用文献

化学系商社メーカーがサイバー攻撃被害 - 日本拠点で障害発生 - Security NEXT, 9月 18, 2025にアクセス、 https://www.security-next.com/174251
不正アクセス原因 CBC株式会社全社規模のシステム障害 - ScanNetSecurity, 9月 18, 2025にアクセス、 https://s.netsecurity.ne.jp/article/2025/09/18/53637.html
CBC公式ホームページ hicbc.com | 中部日本放送株式会社 | corporation, 9月 18, 2025にアクセス、 https://hicbc.com/corporation/
中部日本放送 (9402) : 株価/予想・目標株価 [CHUBUNIPPONB] - みんかぶ, 9月 18, 2025にアクセス、 https://minkabu.jp/stock/9402
中部日本放送（9402）の株価・株式｜国内株式 - SBI証券, 9月 18, 2025にアクセス、 https://www.sbisec.co.jp/ETGate/WPLETsiR001Control/WPLETsiR001Ilst10/getDetailOfStockPriceJP?OutSide=on&getFlg=on&stock_sec_code_mul=9402&exchange_code=JPN
【お知らせ】システム障害発生のお詫びとご報告｜ニュース - CBC株式会社, 9月 18, 2025にアクセス、 https://www.cbc.co.jp/news/5940/
不正アクセスで障害発生か CBC株式会社 - サイバーセキュリティ.com, 9月 18, 2025にアクセス、 https://cybersecurity-jp.com/news/110821
【お知らせ】弊社サーバーの不正アクセスに関するご報告とお詫び - CBC株式会社, 9月 18, 2025にアクセス、 https://www.cbc.co.jp/news/5950/
CBC株式会社、サーバーへの不正アクセスを確認し対応中 | サイバーセキュリティラボ, 9月 18, 2025にアクセス、 https://www.gate02.ne.jp/lab/incident-news/cbc-20250911/
CBC (企業) - Wikipedia, 9月 18, 2025にアクセス、 https://ja.wikipedia.org/wiki/CBC_(%E4%BC%81%E6%A5%AD)
CBC株式会社｜未来をカタチにする創造商社, 9月 18, 2025にアクセス、 https://www.cbc.co.jp/
CBC株式会社 · en-courage - エンカレッジ, 9月 18, 2025にアクセス、 https://app.en-courage.com/companies/01J9JQ25S7Q1SAY4FD573XGG0A/articles
CBC株式会社の会社情報 - M&Aクラウド, 9月 18, 2025にアクセス、 https://macloud.jp/companies/12050
CBC(株)の会社概要 | マイナビ2027, 9月 18, 2025にアクセス、 https://job.mynavi.jp/27/pc/search/corp60430/outline.html
CBC(株)のオープン・カンパニー＆キャリア教育等 | マイナビ2027, 9月 18, 2025にアクセス、 https://job.mynavi.jp/27/pc/search/corp60430/is.html
ウェブ面談が行われた事象も～ CBC社員を騙ったなりすましメールに注意を呼びかけ, 9月 18, 2025にアクセス、 https://s.netsecurity.ne.jp/article/2024/12/24/52083.html
ウェブ面談が行われた事象も～ CBC社員を騙ったなりすましメールに注意を呼びかけ, 9月 18, 2025にアクセス、 https://www.sms-datatech.co.jp/securitynow/articles/news/0193f935-0900-766f-8821-7486f1d60ece/
[注意喚起] 2024年8月日本企業へのランサムウェア攻撃表明, 9月 18, 2025にアクセス、 https://stealthmole.jp/blog/view/id/109
（速報）化学メーカー大手M社でデータ侵害か｜Darkpedia: サイバー犯罪のダークトレンド - note, 9月 18, 2025にアクセス、 https://note.com/darkpedia/n/n7d7186cec902
化学メーカーのダイセル、グループ運用サーバーが不正アクセス ..., 9月 18, 2025にアクセス、 https://cybersecurity-jp.com/news/63158
サイバー攻撃で詳細を調査、生産販売に影響なし ... - Security NEXT, 9月 18, 2025にアクセス、 https://www.security-next.com/170907
化学メーカー「日本ゼオン」顧客や取引先情報13,434 件流出懸念 ..., 9月 18, 2025にアクセス、 https://cybergymjapan.com/%E5%8C%96%E5%AD%A6%E3%83%A1%E3%83%BC%E3%82%AB%E3%83%BC%E3%80%8C%E6%97%A5%E6%9C%AC%E3%82%BC%E3%82%AA%E3%83%B3%E3%80%8D%E9%A1%A7%E5%AE%A2%E3%82%84%E5%8F%96%E5%BC%95%E5%85%88%E6%83%85%E5%A0%B113434/
工場システムにおけるサイバーセキュリティ対策の検討状況について - 経済産業省, 9月 18, 2025にアクセス、 https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_seido/wg_uchu_sangyo/pdf/005_05_01.pdf
サイバーセキュリティ.com｜セキュリティポータルサイト, 9月 18, 2025にアクセス、 https://cybersecurity-jp.com/
CBCニュース「デンソーの海外拠点にサイバー攻撃犯罪グループがインターネット上に犯行声明ドイツ」に情報提供いたしました, 9月 18, 2025にアクセス、 https://www.sandj.co.jp/news/20220316/